您正在构建一个Java应用程序，该应用程序将敏感数据存储在Azure Cosmos DB中，并且希望配置Always Encrypted以使应用程序加密数据。您应该采取的第一步是什么？

正确答案是创建客户管理的密钥 (CMK) 并将其存储在新的Azure Key Vault实例中。在Azure Cosmos DB中实现Always Encrypted的第一步是建立一个安全的密钥管理系统。客户管理的密钥 (CMK) 存储在Azure Key Vault中，为加密数据提供了强大的安全基础。后续步骤将涉及使用此CMK来派生数据加密密钥 (DEK)，并定义加密策略。 其他选项不正确的原因： 创建一个新容器，其中包含指定要加密的JSON属性的加密策略：这是后续步骤，需要先有密钥才能定义加密策略。 使用Azure Cosmos DB SDK创建数据加密密钥 (DEK) 并将其存储在Azure Cosmos DB中：DEK是派生自CMK的，并且通常不直接存储在Cosmos DB中。 创建Azure AD托管标识并将其分配给新的Azure Key Vault实例：托管标识用于授权访问Key Vault，但它不是创建CMK本身的第一步。